Messaggi OTP su WhatsApp e SMS: sicurezza, consegna e frodi

Questa guida è rivolta a product manager, ingegneri e team di sicurezza che inviano password monouso (OTP) per registrazione, accesso, pagamenti o recupero dell'account. Spiega come funzionano i template di autenticazione WhatsApp, come consegnare i codici via SMS, come progettare il fallback e come fermare le frodi OTP come lo SMS pumping senza penalizzare gli utenti reali.

Che cosa rende buono un messaggio OTP?

Un buon messaggio OTP arriva in pochi secondi, è facile da inserire, non può essere riutilizzato ed è chiaramente vostro. Tutto il resto di questa guida sostiene queste quattro proprietà.

• Veloce: consegnato in pochi secondi al primo tentativo.
• Facile: compilazione automatica o copia dove possibile; nessuna ricerca nel testo.
• Sicuro: di breve durata, monouso, di almeno sei cifre, con un avviso "non condividere".
• Affidabile: un nome aziendale verificato su WhatsApp o un mittente registrato su SMS.

Come funzionano i template di autenticazione WhatsApp?

WhatsApp richiede un template di autenticazione per i codici monouso. Il testo è preimpostato da Meta, ad esempio "123456 è il vostro codice di verifica", con una raccomandazione di sicurezza facoltativa ("Per la vostra sicurezza, non condividete questo codice") e un piè di pagina di scadenza facoltativo. Secondo la documentazione di Meta, i template di autenticazione non possono includere URL, contenuti multimediali né emoji, e i parametri sono limitati a 15 caratteri.

Potete scegliere uno dei tre tipi di consegna:

Vale la pena conoscere altri due punti della documentazione di Meta:

• La sicurezza dei dispositivi collegati è attiva per impostazione predefinita sulla Cloud API: i codici vanno solo al dispositivo principale dell'utente e sono mascherati sui dispositivi collegati.
• Compilazione automatica su iOS: Meta afferma che dal 15 giugno 2026, su iOS 26 e versioni successive, i suggerimenti della tastiera offrono la compilazione automatica dell'OTP dalla notifica di WhatsApp senza integrazione.

Se inviate i codici tramite un template di marketing o di utilità, Meta può programmare il rifiuto di quel template e tale decisione non può essere contestata. Vedi la nostra guida alle categorie di template WhatsApp.

Come inviare gli OTP via SMS?

L'SMS resta il canale universale: funziona senza dati né app. Per renderlo affidabile:

1. Usate un mittente transazionale registrato nei mercati che richiedono la registrazione, come gli Emirati Arabi Uniti e l'Arabia Saudita, e tenetevi lontani dal marketing. Vedi la nostra guida alla registrazione del Sender ID.
2. Mantenete il messaggio in un solo segmento. Mettete il codice per primo, nominate il brand, indicate la scadenza e aggiungete un avviso: "123456 è il vostro codice Najm. Valido 5 minuti. Non condividetelo mai." Il testo arabo usa Unicode, quindi in un segmento entrano meno caratteri.
3. Supportate la compilazione automatica degli SMS su Android (formato SMS Retriever API) e iOS (campo one-time-code), così gli utenti non digitano il codice.
4. Instradate tramite connessioni di qualità che restituiscono rapporti di consegna, così fallback e monitoraggio hanno segnali reali.

NIST SP 800-63B classifica gli OTP sulla rete telefonica pubblica (SMS e voce) come autenticatore con restrizioni, per i rischi di SIM swap, portabilità del numero e intercettazione, e raccomanda di controllare indicatori di rischio come il cambio di SIM prima dell'invio. Per le azioni di alto valore, combinate l'OTP via SMS con altri segnali oppure offrite fattori più forti come le passkey.

Come progettare consegna e fallback degli OTP?

Inviate una volta sul canale migliore, attendete brevemente una conferma di consegna e passate al fallback una sola volta. I tentativi incontrollati sono dove costi e frodi esplodono.

1. Scegliete il canale principale per utente: WhatsApp per gli utenti che hanno già verificato tramite WhatsApp o lo hanno scelto; altrimenti SMS.
2. Generate un codice per sessione di verifica, valido per una breve finestra e accettato una sola volta.
3. Attendete lo stato di consegna per un breve timeout, misurato in secondi anziché in minuti.
4. Passate al fallback una sola volta all'altro canale se non consegnato, riutilizzando lo stesso codice o invalidando il primo.
5. Offrite un reinvio avviato dall'utente con un conto alla rovescia visibile, anziché ripetizioni automatiche.
6. Limitate reinvii e tentativi per numero di telefono, dispositivo e sessione.
7. Registrate canale, stato, latenza ed esito della verifica per ogni invio.

Come prevenire lo SMS pumping e le frodi OTP?

Lo SMS pumping, detto anche traffico gonfiato artificialmente (AIT), si verifica quando dei bot richiedono OTP verso fasce di numeri in cui qualcuno guadagna dalla terminazione del traffico. Voi pagate ogni messaggio; nessun utente reale verifica mai. La prevenzione è a più livelli.

Checklist dei controlli

• Permessi geografici: consentite destinazioni OTP solo nei Paesi in cui avete clienti; richiedete una revisione per aggiungerne di nuovi.
• Limiti di frequenza per numero di telefono, indirizzo IP, dispositivo, sessione e prefisso del numero.
• Protezione dai bot (verifica o punteggio di rischio) prima della richiesta di OTP, non dopo.
• Monitoraggio delle conversioni: avvisi quando la conversione della verifica per un Paese o prefisso cala bruscamente.
• Validazione dei numeri: rifiutate numeri malformati, sequenziali o palesemente non validi.
• Avvisi di spesa e tetti giornalieri per destinazione.
• Backoff esponenziale sui reinvii e nessun tentativo automatico illimitato.
• Preferite WhatsApp per gli utenti che lo usano, poiché i template di autenticazione sono legati a un account WhatsApp e non a una terminazione SMS premium.
• Procedura per gli incidenti: chi può bloccare un Paese o prefisso e con quale rapidità.

Proteggete anche gli utenti: non chiedete mai il codice in una chiamata o in chat, dichiaratelo nel messaggio e richiedete una nuova autenticazione quando cambia il numero di telefono o la SIM.

Esempio pratico: un'app di consegne del Qatar

"Rafeeq Delivery" (fittizia) verifica i nuovi utenti e conferma gli ordini di alto valore.

• Gli utenti Android ricevono un template di autenticazione WhatsApp con compilazione automatica one-tap; gli utenti iOS e web ricevono il copy-code.
• Fallback: se la consegna su WhatsApp non è confermata entro un breve timeout, lo stesso codice parte una sola volta via SMS da un mittente transazionale registrato.
• Limiti: tre richieste di codice per numero all'ora, un tetto per dispositivo e IP e destinazioni OTP limitate ai Paesi del Golfo (GCC) in cui l'app opera.
• Monitoraggio: una notte le richieste OTP verso un prefisso non GCC schizzano con verifica quasi nulla. I permessi geografici le bloccano automaticamente; l'incidente non costa nulla perché quel Paese non era mai stato abilitato.
• Esito: il team monitora ogni settimana la spesa per verifica riuscita e la conversione della verifica per canale e adatta il canale principale per mercato.

Errori comuni e limiti

• Usare template di marketing o utilità per gli OTP su WhatsApp.
• Codici di lunga durata o riutilizzabili, o codici che restano validi dopo l'emissione di uno nuovo.
• Reinvii illimitati, che invitano al pumping e frustrano gli utenti.
• Nessuna restrizione geografica sugli OTP di registrazione.
• Mescolare testo promozionale negli SMS OTP, il che può far bloccare il mittente.
• Considerare l'OTP come unico fattore per azioni ad alto rischio.
• Ignorare le variazioni di costo. Meta fattura i template di autenticazione consegnati in base al mercato del destinatario; confermate le tariffe attuali nel listino Meta.

Come vi aiuta OmniChannels.ai

OmniChannels.ai supporta i template di autenticazione WhatsApp con OTP one-tap, zero-tap e copy-code, accanto ai template di utilità e di marketing, con anteprima su telefono e tracciamento dell'approvazione. Gli SMS sono consegnati tramite la connettività con gli operatori di BroadNet Technologies e l'OTP vocale copre gli utenti che non possono ricevere messaggi di testo, così potete combinare WhatsApp, SMS e voce per gli OTP con il fallback tra canali configurato per caso d'uso. I rapporti di consegna (DLR), con viste di riepilogo e avanzate, filtri ed esportazione CSV, aiutano a monitorare la consegna per canale. L'invio degli OTP e i webhook di consegna sono documentati nella API REST pubblica.